Cuando acudimos a un centro sanitario depositamos en manos de profesionales médicos algunos de los datos más sensibles que pueden existir sobre una persona. Enfermedades, antecedentes familiares, tratamientos, pruebas diagnósticas, informes psicológicos, imágenes clínicas e incluso aspectos muy íntimos de nuestra vida forman parte de nuestra historia clínica.
Precisamente por la especial sensibilidad de esta información, el Reglamento General de Protección de Datos (RGPD) considera los datos de salud como una categoría especial de datos personales que requiere una protección reforzada. No se trata de información ordinaria; su tratamiento exige garantías adicionales para preservar la intimidad, la dignidad y los derechos fundamentales de los pacientes.
Sin embargo, todavía persiste una creencia errónea según la cual cualquier profesional que trabaja en un hospital o centro sanitario puede acceder libremente a cualquier historia clínica. La realidad jurídica es muy distinta.
El acceso a la información sanitaria debe estar estrictamente vinculado a las funciones que cada profesional desempeña. Un médico podrá consultar los datos necesarios para prestar asistencia sanitaria al paciente. El personal de enfermería accederá a la información imprescindible para el desarrollo de sus funciones asistenciales. El personal administrativo únicamente podrá visualizar aquellos datos necesarios para gestionar citas, trámites o tareas administrativas relacionadas con la atención sanitaria.
La normativa no permite es el acceso por mera curiosidad, interés personal o cualquier finalidad ajena a la asistencia sanitaria o a las funciones profesionales asignadas.
Cuando el riesgo no viene de fuera
Con frecuencia, cuando se habla de protección de datos en el ámbito sanitario, se piensa en ciberataques, ataques informáticos o brechas de seguridad provocadas por terceros. Sin embargo, una parte importante de los incidentes de privacidad tiene su origen dentro de las propias organizaciones.
Un ejemplo reciente lo encontramos en una resolución de la Agencia Española de Protección de Datos (AEPD) dictada contra la Conselleria de Sanidad de la Comunidad Valenciana. La investigación concluyó que se habían producido accesos reiterados e injustificados a una historia clínica por parte de personas que carecían de una justificación asistencial para consultar dicha información. Además, parte de esos datos llegaron a ser conocidos por terceros.
La Agencia consideró que estos hechos suponían una vulneración del principio de integridad y confidencialidad recogido en el artículo 5.1.f del RGPD, que obliga a garantizar que los datos personales sean tratados de forma que se asegure una protección adecuada frente a accesos no autorizados.
Este caso pone de manifiesto una realidad que a menudo se pasa por alto: el principal riesgo no siempre procede del exterior. En ocasiones, el problema surge cuando personas con acceso legítimo a los sistemas utilizan dicho acceso para finalidades distintas de aquellas para las que fueron autorizadas.
En el sector sanitario, este tipo de conductas constituye uno de los riesgos más relevantes en materia de protección de datos.
Los accesos indebidos: una de las reclamaciones más frecuentes
La experiencia de la Agencia Española de Protección de Datos demuestra que los accesos indebidos a historias clínicas constituyen una de las reclamaciones más habituales dentro del ámbito sanitario.
La razón es sencilla. La historia clínica contiene información extremadamente sensible y cualquier consulta injustificada puede generar una grave intromisión en la privacidad del paciente.
Por este motivo, los centros sanitarios deben implantar medidas organizativas y técnicas que permitan controlar quién accede a la información, cuándo lo hace y con qué finalidad. Los sistemas de registro de accesos, las auditorías periódicas, la formación del personal y las políticas internas de confidencialidad son herramientas esenciales para garantizar el cumplimiento de la normativa.
El derecho de acceso a la historia clínica es gratuito
La protección de los datos sanitarios no se limita a impedir accesos indebidos. También implica garantizar que los pacientes puedan ejercer sus derechos de protección de datos de forma efectiva.
En este sentido, resulta especialmente relevante una reciente actuación de la AEPD frente a un centro médico que exigió el pago de 30 euros a una paciente para entregarle una copia de su historia clínica.
La Agencia recordó que el ejercicio del derecho de acceso a los datos personales es, con carácter general, gratuito. Los ciudadanos tienen derecho a conocer qué información se está tratando sobre ellos y a obtener una copia de sus datos sin que dicho derecho pueda convertirse en un servicio sujeto al pago de una tarifa.
Como consecuencia de esta actuación, la entidad fue sancionada por obstaculizar el ejercicio de un derecho reconocido por la normativa de protección de datos.
La confianza como pilar del sistema sanitario
La protección de los datos de salud va mucho más allá del mero cumplimiento normativo. Constituye un elemento esencial para mantener la confianza de los ciudadanos en el sistema sanitario.
Cuando una persona comparte información íntima con un profesional sanitario lo hace porque confía en que esa información será utilizada exclusivamente para su atención médica y permanecerá protegida frente a accesos indebidos.
Por ello, la confidencialidad no debe entenderse únicamente como una obligación legal, sino como un compromiso ético inherente a toda actividad sanitaria.
En definitiva, cuando acudimos al médico no solo tenemos derecho a recibir una atención sanitaria adecuada. También tenemos derecho a que nuestra información personal sea tratada con el máximo respeto, seguridad y confidencialidad.
Porque si los pacientes dejan de confiar en que sus datos de salud están protegidos, se resiente uno de los pilares fundamentales sobre los que se sustenta cualquier sistema sanitario moderno: la confianza.